RGPD e gravação de chamadas: regras, conservação e checklist de DSAR

Pela equipa de IdentityCall AI | Conformidade | 7 min de leitura

Ao abrigo do RGPD, uma gravação de chamada que contenha dados pessoais é ela própria um dado pessoal, o que significa que está sujeita às regras do regulamento sobre fundamento jurídico, transparência, conservação e direitos individuais. Esta é uma visão prática do que isso significa para as operações de chamadas. É informação geral, não constitui aconselhamento jurídico; confirme as suas obrigações com um advogado qualificado.

As gravações são dados pessoais

Se uma gravação puder ser associada a uma pessoa identificável, e a maioria pode, é um dado pessoal ao abrigo do RGPD. Isso traz um conjunto de obrigações que uma mentalidade de “só gravamos chamadas” tende a ignorar.

Tenha um fundamento jurídico

Precisa de um fundamento jurídico para gravar e tratar a chamada. Os fundamentos comuns incluem o consentimento e os interesses legítimos, mas qual se aplica depende da sua finalidade e do contexto, e cada um tem as suas condições. Apoiar-se no fundamento errado é um erro frequente.

Seja transparente

As pessoas devem saber que a sua chamada está a ser gravada e porquê. Na prática, isto significa um aviso claro no início da chamada e a capacidade de demonstrar que foi dado. Detetar o aviso em cada chamada, em vez de amostrar, transforma a transparência de uma política em evidência.

Minimize e conserve de forma adequada

Dois princípios pesam aqui:

Minimização dos dados. Guarde apenas o que precisa. A ocultação de dados de detalhes sensíveis, como números de cartão, reduz a exposição.
Limitação da conservação. Guarde as gravações apenas o tempo necessário. Uma conservação automatizada que elimina as gravações segundo um calendário é muito mais segura do que depender de alguém que se lembre.

Esteja preparado para os pedidos dos titulares dos dados

As pessoas podem apresentar um pedido de acesso do titular dos dados aos dados pessoais que detém sobre elas e, em alguns casos, pedir a sua eliminação. Para responder dentro do prazo exigido, precisa de encontrar rapidamente todas as chamadas associadas a uma pessoa. Isso depende de uma boa pesquisa, de uma indexação que reconhece o locutor e de um registo de auditoria claro.

Uma lista de verificação prática do RGPD para a gravação de chamadas

Identifique o seu fundamento jurídico para gravar e tratar.
Avise da gravação no início de cada chamada e detete que o aviso foi dado.
Oculte os dados sensíveis sempre que for prático.
Defina regras de conservação que eliminam as gravações automaticamente quando expiram.
Restrinja o acesso e registe as ações sensíveis num registo de auditoria.
Tenha a capacidade de pesquisar e recuperar todas as chamadas de uma pessoa para tratar os DSAR.
Documente as suas decisões para poder demonstrar a conformidade.

Como as ferramentas ajudam

A conformidade é, em última análise, da sua responsabilidade, mas as ferramentas reduzem o esforço manual. A IdentityCall suporta a deteção de avisos, a conservação configurável, os controlos de acesso, um registo de auditoria e uma pesquisa que torna os DSAR tratáveis. Veja a página de conformidade.

Principais conclusões

As gravações de chamadas com dados pessoais estão sujeitas ao RGPD.
Precisa de um fundamento jurídico, transparência, minimização e limites de conservação.
Detetar os avisos e automatizar a conservação transformam a política em evidência.
A pesquisa e um registo de auditoria tornam os DSAR geríveis.
Isto é informação geral, não constitui aconselhamento jurídico.